Об утверждении правил осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского городского округа



1

АДМИНИСТРАЦИЯ ЧЕРНУШИНСКОГО ГОРОДСКОГО ОКРУГА

ПОСТАНОВЛЕНИЕ

30.07.2020 №1140-261-01-04

Об утверждении правил осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского городского округа

В соответствии с федеральными законами от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»,
от 27 июля 2006 г. № 152-ФЗ «О персональных данных», постановлением Правительства Российской Федерации от 21 марта 2012 г. № 211
«Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ними нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»,

ПОСТАНОВЛЯЮ:

1. Утвердить прилагаемые правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского городского округа (далее - Правила).

2. Отделу муниципальной службы управления делами администрации Чернушинского городского округа довести данные Правила до сведения руководителей отраслевых (функциональных) органов администрации Чернушинского городского округа.

3. Признать утратившим силу постановление главы Чернушинского муниципального района от 15 апреля 2015 г. № 318 «Об утверждении Правил проведения внутреннего контроля и проверок соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского муниципального района».

4. Данное постановление подлежит обнародованию в порядке, установленном Уставом Чернушинского городского округа, и вступает в силу с даты обнародования.

5. Контроль за исполнением данного постановления возложить на руководителя аппарата, начальника управления делами администрации Чернушинского городского округа.

Глава Чернушинского городского округа М.В. Шестаков

1

УТВЕРЖДЕНЫ
постановлением администрации Чернушинского городского округа
от 30.07.2020 № 1140-261-01-04

ПРАВИЛА
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского городского округа

1. Настоящие правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных
(далее - Правила) в администрации Чернушинского городского округа
определяют процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере обработки персональных данных, а также основания, порядок, формы и методы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных.

2. Настоящие Правила разработаны на основании Федерального закона
от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и в соответствии с постановлением Правительства Российской Федерации от 21 марта 2012 г.
№ 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом
«О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами».

3. Данные правила используются для проверок в администрации Чернушинского городского округа и ее отраслевых (функциональных) органах.

4. Контрольные мероприятия за обеспечением уровня защищенности персональных данных и соблюдений условий использования средств защиты информации, а также соблюдением требований законодательства Российской Федерации по обработке персональных данных в информационных системах проводятся в следующих целях:

4.1 проверка выполнения требований организационно-распорядительной документации по защите информации в администрации Чернушинского городского округа, ее отраслевых (функциональных) органах действующего законодательства Российской Федерации в области обработки и защиты персональных данных;

4.2 оценка уровня осведомленности и знаний муниципальных служащих администрации Чернушинского городского округа, ее отраслевых (функциональных) органах в области обработки и защиты персональных данных;

4.3 оценка обоснованности и эффективности применяемых мер и средств защиты информации.

5. Проверки проводятся не реже одного раза в год.

6. Проверки осуществляются комиссией по проведению проверки условий обработки персональных данных (далее - Комиссия), состав которой утверждается распоряжением администрации Чернушинского городского округа, а в отраслевых (функциональных) органах администрации Чернушинского городского округа – распоряжением (приказом) руководителя отраслевого (функционального) органа администрации Чернушинского городского округа.

7. В проведении проверки не может участвовать муниципальный служащий, прямо или косвенно заинтересованный в ее результатах.

8. Проверки соответствия обработки персональных данных установленным требованиям в администрации Чернушинского городского округа, ее отраслевых (функциональных) органах проводятся на основании утвержденного постановлением администрации Чернушинского городского округа, в отраслевых (функциональных) органах администрации Чернушинского городского округа – распоряжением (приказом) руководителя отраслевого (функционального) органа администрации Чернушинского городского округа, плана мероприятий по организации защиты персональных данных, или на основании поступившего письменного заявления о нарушениях правил обработки персональных данных (внеплановые проверки). Проведение внеплановой проверки организуется в течение трех рабочих дней с момента поступления соответствующего заявления.

9. При проведении проверки соответствия обработки персональных данных установленным требованиям должны быть полностью, объективно и всесторонне установлены:

9.1 порядок и условия применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;

9.2 порядок и условия применения средств защиты информации;

9.3 эффективность принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

9.4 состояние учета машинных носителей персональных данных;

9.5 соблюдение правил доступа к персональным данным;

9.6 наличие (отсутствие) фактов несанкционированного доступа к персональным данным и принятие необходимых мер;

9.7 мероприятия по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

9.8 осуществление мероприятий по обеспечению целостности персональных данных.

10. Комиссия для реализации своих полномочий имеет право:

10.1 запрашивать у сотрудников администрации Чернушинского городского округа, сотрудников отраслевого (функционального) органа администрации Чернушинского городского округа информацию, необходимую для реализации полномочий;

10.2 требовать от уполномоченных на обработку персональных данных должностных лиц уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

10.3 принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства Российской Федерации;

10.4 вносить предложения о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке;

10.5 вносить предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в отношении обработки персональных данных.

11. Проверка должна быть завершена не позднее чем через месяц со дня принятия решения о ее проведении.

О результатах проведенной проверки и мерах, необходимых для устранения выявленных нарушений, готовится отчет проверки по типовой форме согласно приложению 1 к настоящим Правилам.

12. Отчет передается на рассмотрение ответственному лицу за организацию обработки персональных данных в администрации Чернушинского городского округа, ответственному лицу отраслевого (функционального) органа администрации Чернушинского городского округа.

13. Результаты проведения мероприятий по плановому и внеплановому контролю заносятся в протокол проведения внутренних проверок контроля соответствия обработки персональных данных требованиям к защите персональных данных по типовой форме согласно приложению 2 к настоящим Правилам.

Результаты проверок фиксируются в журнале регистрации проверок в сфере защиты персональных данных в соответствии с типовой формой согласно приложению 3 к настоящим Правилам.

При выявлении нарушений в сфере защиты персональных данных составляется акт в соответствии с типовой формой согласно приложению 4 к настоящим Правилам.

Приложение 1
к Правилам осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского городского округа

ТИПОВАЯ ФОРМА
ОТЧЕТА О ПРОВЕДЕНИИ ВНУТРЕННЕЙ ПРОВЕРКИ

Внутренняя проверка (далее – Проверка) произведена на основании распоряжения № (номер распоряжения о проведении внутренней проверки).

Проверка проводилась (дата проведения проверки) на территории Учреждения (наименование учреждения) по адресу: (адрес учреждения).

Проверка проводилась в соответствии с принципами и положениями концепции информационной безопасности в администрации Чернушинского городского округа и политики информационной безопасности администрации Чернушинского городского округа.

В ходе проверки были выявлены следующие ИСПДн: (список выявленных ИСПДн, например, «1С: Бухгалтерия»).

В ходе проверки для каждой ИСПДн определялось:

- состав и структура объектов защиты;

- конфигурация и структура ИСПДн;

- режим обработки ПДн;

- перечень лиц, участвующих в обработке ПДн;

- права доступа лиц, допущенных к обработке ПДн;

- угрозы безопасности персональных данных. Оценивалась вероятность их реализации, реализуемость, опасность и актуальность;

- существующие меры защиты ПДн;

- список необходимых мер защиты ПДн.

Данные Проверки служат основой для других нормативно-организационных документов.

Данные о составе и структуре объектов защиты отражаются в Перечне персональных данных, подлежащих защите.

Данные о составе и структуре обрабатываемых персональных данных, конфигурации ИСПДн и режиме обработке являются основой для составления Акта классификации информационной системы, обрабатывающей персональные данные.

Данные о лицах, допущенных к обработке ПДн, и уровне их доступа отражаются в Положении о разграничении прав доступа к обрабатываемым персональным данным.

Данные об угрозах безопасности ПДн служат основой для составления Модели угроз безопасности персональных данных.

Данные о существующих и необходимых мерах защиты ПДн служат основой для составления Плана мероприятий по организации защиты персональных данных.

1

Приложение 2
к Правилам осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского городского округа

ТИПОВАЯ ФОРМА ПРОТОКОЛА
проведения внутренних проверок контроля соответствия обработки персональных данных требованиям к защите персональных данных

Настоящий протокол составлен в том, что «____» ____________________ 20__г.

____________________________________________________________________________________________________________________________________________________________________________________________________________

(указать должности, Ф.И.О. работников, проводивших проверку)

проведена проверка _______________________________________________________________________________________________________________________________________

(наименование проверки)

Проверка осуществлялась в соответствии с требованиями:

________________________________________________________________________________________________________________________________________

(наименование документа, на основании которого проводилась проверка)

__________________________________________________________________

В ходе проверки проверено:

________________________________________________________________________________________________________________________________________

Выявленные нарушения:

________________________________________________________________________________________________________________________________________

Меры по устранению нарушений:

________________________________________________________________________________________________________________________________________

Срок устранения нарушений: ____________________________________

Ответственный за обеспечение

безопасности персональных данных __________________ ________________

(подпись) (расшифровка)

1

Приложение 3
к Правилам осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского городского округа

ТИПОВАЯ ФОРМА ЖУРНАЛА
регистрации проверок в сфере защиты персональных данных

№

п/п

Дата

проверки

Вид проверки (плановая, внеплановая)

Основания проверки

Контрольные мероприятия

ФИО, должность проверяемого

Результат проверки

Номер, дата протокола результатов проверки

Результаты проверки

ФИО, должности членов комиссии

Подпись

Проверяемого

Членов комиссии

1

2

3

4

5

6

7

8

9

10

11

12

1

Приложение 4
к Правилам осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации Чернушинского городского округа

ТИПОВАЯ ФОРМА АКТА
выявления нарушений в сфере защиты персональных данных.

«___» __________ 20____г.

Настоящий акт составлен в том, что в

____________________________________________________________________

(наименование структурного подразделения, где выявлено нарушение)

____________________________________________________________________

(ФИО и должность лица, допустившего нарушение)

Допущено нарушение установленных требований в сфере защиты персональных данных и иной конфиденциальной информации.

Содержание нарушения ____________________________________________________________________

____________________________________________________________________

Требования каких нормативных документов нарушены ________________________________________________________________

____________________________________________________________________

____________________________________________________________________

Комиссия (или уполномоченное лицо), выявившая нарушения:

______________________ ___________________ __________________

(ФИО) (подпись) (расшифровка подписи)

______________________ ___________________ __________________

(ФИО) (подпись) (расшифровка подписи)

______________________ ___________________ __________________

(ФИО) (подпись) (расшифровка подписи)

С актом ознакомлен (а):

______________________ ___________________ __________________

(ФИО) (подпись) (расшифровка подписи)

Подпись руководителя структурного

подразделения, где допущено

нарушение ________________ _______________